網(wǎng)閘技術(shù)白皮書

1、1 產(chǎn)品概述隨著網(wǎng)絡(luò)技術(shù)的不斷應(yīng)用和完善，Internet正在越來越多地滲透到社會(huì)的各個(gè)方面。一方面，企業(yè)上網(wǎng)、電子商務(wù)、遠(yuǎn)程教育、遠(yuǎn)程醫(yī)療等一系列網(wǎng)絡(luò)應(yīng)用蓬勃發(fā)展，人們的日常生活與網(wǎng)絡(luò)的關(guān)系日益密切；另一方面，網(wǎng)絡(luò)用戶組成越來越多樣化，出于各種目的的網(wǎng)絡(luò)入侵和攻擊越來越頻繁。人們?cè)谙硎芑ヂ?lián)網(wǎng)所帶來的豐富、便捷的信息同時(shí)，也日益感受到頻繁的網(wǎng)絡(luò)攻擊、病毒泛濫、非授權(quán)訪問、信息泄密等問題所帶來的困擾。傳統(tǒng)的安全產(chǎn)品可以以不同的方式滿足我們保護(hù)數(shù)據(jù)和網(wǎng)絡(luò)安全的需要，但不可能完全解決網(wǎng)絡(luò)間信息的安全交換問題，因?yàn)楦鞣N安全技術(shù)都有其局限性。為保護(hù)重要內(nèi)部系統(tǒng)的安全，2000年1月，國(guó)家保密局發(fā)布實(shí)施計(jì)

2、算機(jī)信息系統(tǒng)國(guó)際互聯(lián)網(wǎng)保密管理規(guī)定，明確要求：“涉及國(guó)家秘密的計(jì)算機(jī)信息系統(tǒng)，不得直接或間接地與國(guó)際互聯(lián)網(wǎng)或其他公共信息網(wǎng)絡(luò)相連，必須實(shí)行物理隔離?！?中共中央辦公廳2002年第17號(hào)文件國(guó)家信息化領(lǐng)導(dǎo)小組關(guān)于我國(guó)電子政務(wù)建設(shè)指導(dǎo)意見也明確強(qiáng)調(diào)：“政務(wù)內(nèi)網(wǎng)和政務(wù)外網(wǎng)之間物理隔離，政務(wù)外網(wǎng)與互聯(lián)網(wǎng)之間邏輯隔離。”在不同安全等級(jí)的網(wǎng)絡(luò)及系統(tǒng)之間實(shí)施安全隔離是一個(gè)行之有效的安全保密措施，可切斷信息泄漏的途徑。最初的解決方案很簡(jiǎn)單，即通過人工的操作來實(shí)現(xiàn)。如下圖所示：在不同安全等級(jí)的網(wǎng)絡(luò)中進(jìn)行信息交換的時(shí)候，由指定人員將需要轉(zhuǎn)移的數(shù)據(jù)拷貝到軟盤等移動(dòng)存儲(chǔ)介質(zhì)上，經(jīng)過查病毒、內(nèi)容檢查等安全處理后，再?gòu)?fù)制

3、到目標(biāo)網(wǎng)絡(luò)中。這種解決方案可實(shí)現(xiàn)網(wǎng)絡(luò)的安全隔離，但數(shù)據(jù)的交換通過人來實(shí)現(xiàn)，工作效率低；安全性完全依賴于人的因素，可靠性無法保證。在數(shù)據(jù)量不大，交換不頻繁的情況下，通過人工交換數(shù)據(jù)的確簡(jiǎn)單可行。然而，隨著電子政務(wù)的開展，內(nèi)外網(wǎng)交換數(shù)據(jù)的數(shù)量和頻率呈幾何量級(jí)上升，這種解決方案已經(jīng)越來越無法滿足用戶的需要。如何保證信息在不同安全等級(jí)的網(wǎng)絡(luò)間安全交換成為制約電子政務(wù)發(fā)展的瓶頸。網(wǎng)神SecSIS 3600安全隔離與信息交換系統(tǒng)（簡(jiǎn)稱：“網(wǎng)閘”）是新一代網(wǎng)絡(luò)安全隔離產(chǎn)品。該產(chǎn)品采用專用硬件和模塊化的工作組件設(shè)計(jì)，集成安全隔離、實(shí)時(shí)信息交換、協(xié)議分析、內(nèi)容檢測(cè)、訪問控制、安全決策等多種安全功能為一體，適合部

4、署于不同安全等級(jí)的網(wǎng)絡(luò)間，在實(shí)現(xiàn)多個(gè)網(wǎng)絡(luò)安全隔離的同時(shí)，實(shí)現(xiàn)高速的、安全的數(shù)據(jù)交換，提供可靠的信息交換服務(wù)。網(wǎng)閘可廣泛應(yīng)用于各級(jí)政府機(jī)關(guān)、軍隊(duì)、公安、科研院校及民航、電力、石油、金融、證券、交通等網(wǎng)絡(luò)環(huán)境，實(shí)現(xiàn)信息的安全交換。尤其適合于電子政務(wù)、網(wǎng)上工商、網(wǎng)上報(bào)稅、網(wǎng)上報(bào)關(guān)、電子審批、政府信息系統(tǒng)管理等需要嚴(yán)格內(nèi)外網(wǎng)隔離的應(yīng)用環(huán)境。2 產(chǎn)品原理網(wǎng)閘的工作基于人工信息交換的操作模式，即由內(nèi)外網(wǎng)主機(jī)模塊分別負(fù)責(zé)接收來自所連接網(wǎng)絡(luò)的訪問請(qǐng)求，兩模塊間沒有直接的物理連接，形成一個(gè)物理隔斷，從而保證可信網(wǎng)和非可信網(wǎng)之間沒有數(shù)據(jù)包的交換，沒有網(wǎng)絡(luò)連接的建立。在此前提下，通過專有硬件實(shí)現(xiàn)網(wǎng)絡(luò)間信息的實(shí)時(shí)交換

5、。這種交換并不是數(shù)據(jù)包的轉(zhuǎn)發(fā)，而是應(yīng)用層數(shù)據(jù)的靜態(tài)讀寫操作，因此可信網(wǎng)的用戶可以通過安全隔離與信息交換系統(tǒng)放心的訪問非可信網(wǎng)的資源，而不必?fù)?dān)心可信網(wǎng)的安全受到影響。信息通過網(wǎng)閘傳遞需經(jīng)過多個(gè)安全模塊的檢查，以驗(yàn)證被交換信息的合法性。當(dāng)訪問請(qǐng)求到達(dá)內(nèi)外網(wǎng)主機(jī)模塊時(shí)，首先由網(wǎng)閘實(shí)現(xiàn)TCP連接的終結(jié)，確保TCP/IP協(xié)議不會(huì)直接或通過代理方式穿透網(wǎng)閘；然后，內(nèi)外網(wǎng)主機(jī)模塊會(huì)依據(jù)安全策略對(duì)訪問請(qǐng)求進(jìn)行預(yù)處理，判斷是否符合訪問控制策略，并依據(jù)RFC或定制策略對(duì)數(shù)據(jù)包進(jìn)行應(yīng)用層協(xié)議檢查和內(nèi)容過濾，檢驗(yàn)其有效載荷的合法性和安全性。一旦數(shù)據(jù)包通過了安全檢查，內(nèi)外網(wǎng)主機(jī)模塊會(huì)對(duì)數(shù)據(jù)包進(jìn)行格式化，將每個(gè)合法數(shù)據(jù)包

6、的傳輸信息和傳輸數(shù)據(jù)分別轉(zhuǎn)換成專有格式數(shù)據(jù)，存放在緩沖區(qū)等待被隔離交換模塊處理。這種“靜態(tài)”的數(shù)據(jù)形態(tài)不可執(zhí)行，不依賴于任何通用協(xié)議，只能被網(wǎng)閘的內(nèi)部處理機(jī)制識(shí)別及處理，因此可避免遭受利用各種已知或未知網(wǎng)絡(luò)層漏洞的威脅。如下圖所示：網(wǎng)閘通過專有的隔離交換卡實(shí)現(xiàn)內(nèi)外網(wǎng)主機(jī)模塊的緩沖區(qū)內(nèi)存映射功能，將指定區(qū)域的數(shù)據(jù)復(fù)制到對(duì)端相應(yīng)的區(qū)域，完成數(shù)據(jù)的交換。隔離交換卡內(nèi)嵌安全芯片，采用高速全雙工流水線設(shè)計(jì)，內(nèi)部吞吐速率達(dá)5Gbps，完全可以滿足高速數(shù)據(jù)交換的需要。隔離交換模塊固化控制邏輯，與內(nèi)外網(wǎng)模塊間只存在內(nèi)存緩沖區(qū)的讀寫操作，沒有任何網(wǎng)絡(luò)協(xié)議和數(shù)據(jù)包的轉(zhuǎn)發(fā)。隔離交換子系統(tǒng)采用互斥機(jī)制，在讀寫一端主機(jī)

7、模塊的數(shù)據(jù)前先中止對(duì)另一端的操作，確保隔離交換系統(tǒng)不會(huì)同時(shí)對(duì)內(nèi)外網(wǎng)主機(jī)模塊的數(shù)據(jù)進(jìn)行處理，以保證在任意時(shí)刻可信網(wǎng)與非可信網(wǎng)間不存在鏈路層通路，實(shí)現(xiàn)網(wǎng)絡(luò)的安全隔離。當(dāng)內(nèi)外網(wǎng)主機(jī)模塊通過隔離交換模塊接收到來自另一端的格式化數(shù)據(jù)，可根據(jù)本端的安全策略進(jìn)行進(jìn)一步的應(yīng)用層安全檢查。經(jīng)檢驗(yàn)合格，則進(jìn)行逆向轉(zhuǎn)換，將格式化數(shù)據(jù)轉(zhuǎn)換成符合RFC標(biāo)準(zhǔn)的TCP/IP數(shù)據(jù)包，將數(shù)據(jù)包發(fā)送到目的計(jì)算機(jī)，完成數(shù)據(jù)的安全交換。3 產(chǎn)品功能說明3.1 豐富的應(yīng)用模塊網(wǎng)閘采用模塊化的系統(tǒng)結(jié)構(gòu)設(shè)計(jì)，根據(jù)不同的應(yīng)用環(huán)境，量身定制多個(gè)功能模塊，以滿足用戶的不同需求，主要包括：l 文件交換模塊：實(shí)現(xiàn)不同安全等級(jí)網(wǎng)絡(luò)間文件的安全交換。l

8、 數(shù)據(jù)庫(kù)同步模塊：通過靈活的同步機(jī)制，保證安全等級(jí)不同的網(wǎng)絡(luò)中的數(shù)據(jù)庫(kù)系統(tǒng)實(shí)現(xiàn)數(shù)據(jù)同步更新。l 郵件交換模塊：保證在內(nèi)外網(wǎng)隔離的環(huán)境下實(shí)現(xiàn)安全的郵件收發(fā)。l 安全瀏覽模塊：保證在內(nèi)外網(wǎng)隔離的環(huán)境下，內(nèi)網(wǎng)用戶安全瀏覽外網(wǎng)資源。l 通用模塊：保證內(nèi)外網(wǎng)隔離的同時(shí)實(shí)現(xiàn)FTP、DNS、TNS等協(xié)議及其他通用TCP/IP協(xié)議的定制交換。l 其它定制用戶專有應(yīng)用模塊。3.2 訪問控制系統(tǒng)支持強(qiáng)大的訪問控制策略，支持通過源地址、目的地址、端口、協(xié)議等多種元素對(duì)允許通過網(wǎng)閘傳輸?shù)臄?shù)據(jù)進(jìn)行過濾，判斷是否符合組織安全策略。3.3 地址綁定提供IP與MAC地址綁定功能，可對(duì)指定接口所連接的網(wǎng)絡(luò)中的主機(jī)的IP 和MA

9、C 地址進(jìn)行綁定，防止內(nèi)部用戶盜用IP和內(nèi)網(wǎng)地址資源分配的混亂，方便網(wǎng)絡(luò)IP資源管理。3.4 內(nèi)容檢查網(wǎng)閘提供多種內(nèi)容安全過濾與內(nèi)容訪問控制功能，既能有效的防止外部惡意代碼進(jìn)入內(nèi)網(wǎng)，也能控制內(nèi)網(wǎng)用戶對(duì)外部資源不良內(nèi)容的訪問及敏感信息的泄漏。網(wǎng)神SecSIS 3600安全隔離與信息交換系統(tǒng)的內(nèi)容檢查機(jī)制主要針對(duì)HTTP、FTP、郵件及文件交換等應(yīng)用，包括URL過濾、關(guān)鍵字過濾、Cookie過濾、文件類型檢查及病毒查殺等操作。l URL/域名過濾網(wǎng)閘可對(duì)用戶訪問的Web站點(diǎn)的域名及URL等進(jìn)行基于正則表達(dá)式的過濾，禁止用戶訪問暴力、色情、反動(dòng)的主頁或站點(diǎn)中的特定目錄或文件。l 黑/白名單關(guān)鍵字過濾

10、網(wǎng)閘可對(duì)郵件標(biāo)題和內(nèi)容以及傳輸?shù)奈募冗M(jìn)行黑/白名單關(guān)鍵字過濾，進(jìn)行單詞及短句的智能匹配，禁止包含特定關(guān)鍵字的敏感信息泄漏，或只允許包含相應(yīng)關(guān)鍵字的文件通過網(wǎng)閘傳遞。l COOKIE過濾網(wǎng)閘可對(duì)COOKIE進(jìn)行過濾。通過對(duì)COOKIE進(jìn)行過濾，可以防止敏感信息的泄漏。同時(shí)還可以防止用戶進(jìn)行瀏覽論壇、上網(wǎng)聊天等違反安全策略的操作。l 文件類型檢查網(wǎng)閘可對(duì)傳輸?shù)奈募M(jìn)行類型檢查，只允許符合安全策略的文件通過網(wǎng)閘傳遞。避免傳輸二進(jìn)制文件可能帶來的病毒和敏感信息泄露等問題。l 病毒及惡意代碼檢查系統(tǒng)可內(nèi)嵌殺病毒引擎，對(duì)允許傳輸?shù)奈募M(jìn)行病毒的檢查，確保進(jìn)入可信網(wǎng)絡(luò)的文件不包含病毒及Java/JavaS

11、cript/ActiveX等惡意代碼。3.5 高安全的文件交換網(wǎng)閘提供基于純文件的交換方式，內(nèi)網(wǎng)和外網(wǎng)的數(shù)據(jù)傳輸模塊各自對(duì)文件進(jìn)行病毒掃描、簽名校驗(yàn)、文件類型校驗(yàn)、文件內(nèi)容過濾，對(duì)符合要求的文件進(jìn)行轉(zhuǎn)發(fā)。不借助任何第三方軟件，完全通過文件的拷貝、粘貼方式實(shí)現(xiàn)，為了避免網(wǎng)絡(luò)漏洞，網(wǎng)閘不開放任何連通兩側(cè)的網(wǎng)絡(luò)通道，在保證絕對(duì)安全的前提下，通過數(shù)據(jù)擺渡實(shí)現(xiàn)文件交換。3.6 內(nèi)置的數(shù)據(jù)庫(kù)同步模塊網(wǎng)閘的數(shù)據(jù)庫(kù)同步模塊，獨(dú)立自主開發(fā)完成，完全內(nèi)置于網(wǎng)閘內(nèi)部，所有的同步操作由網(wǎng)閘自己獨(dú)立完成。不在用戶數(shù)據(jù)庫(kù)中安裝任何客戶端軟件，不需要在用戶網(wǎng)絡(luò)中部署專用服務(wù)器，對(duì)用戶數(shù)據(jù)庫(kù)不作任何改變。該模塊支持Oracl

12、e和Sql Server等流行數(shù)據(jù)庫(kù)版本，同時(shí)預(yù)留開發(fā)接口，定制支持各種數(shù)據(jù)庫(kù)系統(tǒng)。在高速運(yùn)行的基礎(chǔ)上解決了字段級(jí)數(shù)據(jù)同步、雙向數(shù)據(jù)同步、大字段同步等技術(shù)難題，適合于各種數(shù)據(jù)庫(kù)同步工作的需要。由于是網(wǎng)閘自身發(fā)起的動(dòng)作，所以網(wǎng)閘兩側(cè)不開放任何基于數(shù)據(jù)庫(kù)訪問或者定制TCP的網(wǎng)絡(luò)服務(wù)端口，避免網(wǎng)絡(luò)安全漏洞。3.7 高可用設(shè)計(jì)網(wǎng)閘支持高可用方案，最多支持32臺(tái)設(shè)備進(jìn)行負(fù)載均衡，全面解決設(shè)備故障與鏈路故障造成的業(yè)務(wù)中斷，保證系統(tǒng)7X24小時(shí)不間斷服務(wù)。3.8 輕松的管理網(wǎng)閘配備專門的管理端口，通過數(shù)字證書認(rèn)證與管理信息的加密傳輸實(shí)現(xiàn)網(wǎng)閘設(shè)備的集中管理。系統(tǒng)采用全中文的Web方式進(jìn)行遠(yuǎn)程網(wǎng)絡(luò)管理，界面友好

13、，操作方便。系統(tǒng)管理員和審計(jì)員實(shí)現(xiàn)分權(quán)管理，使得對(duì)網(wǎng)閘的管理更加安全可控，避免人為因素帶來的安全風(fēng)險(xiǎn)。3.9 傳輸方向控制網(wǎng)閘采用雙通道通信機(jī)制，從可信網(wǎng)到非可信網(wǎng)的數(shù)據(jù)流與從非可信網(wǎng)到可信網(wǎng)的數(shù)據(jù)流采用不同的數(shù)據(jù)通道，對(duì)通道的分離控制保證各通道的傳輸方向可控。在特殊應(yīng)用環(huán)境中可實(shí)現(xiàn)數(shù)據(jù)的單向傳送，以避免信息的泄漏。3.10 協(xié)議分析能力系統(tǒng)支持HTTP/HTTPS、POP3、SMTP、FTP、SAMBA、NFS、DNS等多種應(yīng)用層協(xié)議，可對(duì)常見協(xié)議的命令和參數(shù)進(jìn)行分析和過濾。應(yīng)用數(shù)據(jù)以“原始”的形態(tài)在內(nèi)外主機(jī)模塊中傳遞，數(shù)據(jù)包經(jīng)過預(yù)處理、安全決策、RFC校驗(yàn)、協(xié)議分析、數(shù)據(jù)提取、格式化等多個(gè)

14、處理模塊的檢查，充分保證了交換信息內(nèi)容的安全。3.11 完善的安全審計(jì)網(wǎng)閘提供管理員多種手段了解網(wǎng)絡(luò)運(yùn)行狀況及可疑事件的發(fā)生。用戶可根據(jù)特定的需要進(jìn)行日志審計(jì)（包括系統(tǒng)日志、訪問控制策略日志、應(yīng)用層協(xié)議分析日志、應(yīng)用層內(nèi)容檢查日志等）。系統(tǒng)支持本地日志緩存,可實(shí)現(xiàn)本地日志的瀏覽查詢等操作。日志依據(jù)事件的重要程度分為錯(cuò)誤/警告/通知三級(jí)，支持Syslog日志存儲(chǔ)，可實(shí)現(xiàn)日志的分級(jí)發(fā)送。網(wǎng)閘提供管理員多種手段了解網(wǎng)絡(luò)運(yùn)行狀況及可疑事件的發(fā)生。主要方式如下：控制臺(tái)方式：通過管理控制臺(tái)可以實(shí)時(shí)監(jiān)控日志告警信息。Syslog：以Syslog方式向管理工作站發(fā)送告警信息。電子郵件：通過向管理員指定的電子郵

15、件帳號(hào)發(fā)送電子郵件來發(fā)送報(bào)警信息。3.12 強(qiáng)大的抗攻擊能力網(wǎng)閘具備強(qiáng)大的抗攻擊能力，內(nèi)外網(wǎng)主機(jī)模塊采用專用的安全操作系統(tǒng)，內(nèi)核經(jīng)過特殊定制，實(shí)現(xiàn)強(qiáng)制性訪問控制，保護(hù)自身進(jìn)程及文件不被非法篡改和破壞。同時(shí)系統(tǒng)實(shí)現(xiàn)了針對(duì)多種DoS和DDoS攻擊的防范，可阻擋SynFlood、UdpFlood、PingFlood、TearDrop、Ping of Death、Smurf、Land等多種類型的DoS和DDoS攻擊，保護(hù)可信網(wǎng)絡(luò)的安全。3.13 多樣化的身份認(rèn)證網(wǎng)閘支持多樣靈活的身份認(rèn)證方式，包括：本地用戶名及口令認(rèn)證、基于數(shù)字證書的認(rèn)證、RADIUS遠(yuǎn)程訪問認(rèn)證及LDAP認(rèn)證等。l 本地認(rèn)證系統(tǒng)內(nèi)置

16、認(rèn)證數(shù)據(jù)庫(kù)提供本地的用戶名、口令認(rèn)證，支持HTTP/HTTPS方式實(shí)現(xiàn)認(rèn)證信息的獲取。l 數(shù)字證書認(rèn)證網(wǎng)閘支持?jǐn)?shù)字證書認(rèn)證，允許客戶端通過HTTP連接向服務(wù)器發(fā)送訪問請(qǐng)求。網(wǎng)閘可導(dǎo)入根證書，通過檢查用戶證書格式、證書的過期時(shí)間、簽發(fā)者等信息以確認(rèn)訪問者身份的合法性，還可依據(jù)用戶身份屬性判斷其是否具有適當(dāng)?shù)脑L問權(quán)限。l RADIUS遠(yuǎn)程訪問認(rèn)證及LDAP認(rèn)證網(wǎng)閘向第三方認(rèn)證服務(wù)器發(fā)送用戶名和口令，一旦認(rèn)證服務(wù)器認(rèn)證成功，則網(wǎng)閘允許用戶訪問。3.14 負(fù)載均衡解決方案網(wǎng)閘支持負(fù)載均衡解決方案。網(wǎng)閘群集可實(shí)現(xiàn)動(dòng)態(tài)管理和維護(hù)，根據(jù)實(shí)際響應(yīng)時(shí)間制定優(yōu)先響應(yīng)策略，從而提高系統(tǒng)總體性能、優(yōu)化流量管理、提高群

17、集性能，保證系統(tǒng)正常運(yùn)行的高可用性和高可靠性。如果訪問量超出了網(wǎng)閘的響應(yīng)能力，只需增加服務(wù)器數(shù)目即可實(shí)現(xiàn)系統(tǒng)的平滑升級(jí)，無需第三方軟件支持。4 產(chǎn)品技術(shù)優(yōu)勢(shì)在網(wǎng)絡(luò)中部署網(wǎng)閘既能夠符合政府、軍隊(duì)、企事業(yè)單位等的強(qiáng)制性安全策略既在不同安全等級(jí)的網(wǎng)絡(luò)間實(shí)現(xiàn)安全隔離，又能夠保證可靠、安全的信息交換，提供文件交換、收發(fā)電子郵件、數(shù)據(jù)庫(kù)同步、安全瀏覽等多種服務(wù)，在網(wǎng)絡(luò)應(yīng)用的安全性及可用性間取得完美的平衡。4.1 安全高效的硬件交換系統(tǒng)網(wǎng)閘具有自主研發(fā)的內(nèi)外主機(jī)系統(tǒng)間的安全檢測(cè)與控制處理單元，采用專有電路設(shè)計(jì)的雙通道高速數(shù)據(jù)交換卡，實(shí)現(xiàn)了獨(dú)立的硬件交換控制邏輯，無操作系統(tǒng)及任何“軟”控制，自主完成數(shù)據(jù)的交換

18、，系統(tǒng)只負(fù)責(zé)把數(shù)據(jù)寫到隔離交換卡中的緩沖區(qū)，由隔離交換卡根據(jù)硬件控制邏輯自動(dòng)完成數(shù)據(jù)交換，自動(dòng)同步兩側(cè)控制邏輯，進(jìn)行互斥的讀寫操作，同時(shí)還具有自動(dòng)數(shù)據(jù)完成性校驗(yàn)，當(dāng)發(fā)現(xiàn)數(shù)據(jù)錯(cuò)誤時(shí)，自動(dòng)重傳，保證數(shù)據(jù)的完全正確。在保證安全性的同時(shí)，提供更好的處理性能，能夠適應(yīng)各種復(fù)雜網(wǎng)絡(luò)環(huán)境對(duì)隔離應(yīng)用的需求。網(wǎng)閘在內(nèi)外主機(jī)系統(tǒng)間采用專有協(xié)議，阻斷網(wǎng)絡(luò)連接，不僅使得信息網(wǎng)絡(luò)的抗攻擊能力大大增強(qiáng)，而且有效地防范了信息外泄事件的發(fā)生。4.2 可靠的冗余和負(fù)載均衡架構(gòu)網(wǎng)閘基于可靠性的考慮，通過雙機(jī)熱備等技術(shù)保證了在網(wǎng)絡(luò)或設(shè)備故障時(shí)，業(yè)務(wù)的不間斷運(yùn)行。在網(wǎng)絡(luò)流量較大時(shí)，也可能會(huì)造成業(yè)務(wù)不可用和響應(yīng)速度下降，網(wǎng)閘支持多臺(tái)設(shè)

19、備的負(fù)載均衡（最多支持32臺(tái)），最大限度的提升了網(wǎng)絡(luò)的可用性。4.3 先進(jìn)的數(shù)據(jù)庫(kù)同步技術(shù)網(wǎng)閘常會(huì)應(yīng)用在數(shù)據(jù)庫(kù)服務(wù)器的環(huán)境中，為了實(shí)現(xiàn)數(shù)據(jù)庫(kù)同步，一般情況下都需要在內(nèi)、外網(wǎng)數(shù)據(jù)庫(kù)服務(wù)器上安裝數(shù)據(jù)庫(kù)同步軟件，這不僅會(huì)占用數(shù)據(jù)庫(kù)服務(wù)器的資源、增加部署和實(shí)施的難度，同時(shí)不可避免會(huì)有漏洞。網(wǎng)閘采用先進(jìn)的同步技術(shù)，無需在內(nèi)、外網(wǎng)數(shù)據(jù)庫(kù)服務(wù)器上安裝第三方同步軟件，減少因安裝第三方同步軟件造成對(duì)數(shù)據(jù)庫(kù)影響的可能性，還可提供對(duì)數(shù)據(jù)庫(kù)用戶的細(xì)粒度控制。同時(shí)由于不用開放監(jiān)聽端口，更具安全性，為用戶提供了性價(jià)比極高的數(shù)據(jù)庫(kù)同步解決方案。4.4 核心應(yīng)用的安全最大化從安全實(shí)現(xiàn)的角度來講，越接近應(yīng)用層，則安全問題越復(fù)雜

20、，解決問題也越困難。安全隔離與信息交換系統(tǒng)將應(yīng)用層的數(shù)據(jù)轉(zhuǎn)換成專有的數(shù)據(jù)格式進(jìn)行處理，只允許安全的、可靠的信息在網(wǎng)絡(luò)中傳遞。信息的格式、內(nèi)容、交流對(duì)象等因素可依據(jù)企業(yè)安全策略指定，簡(jiǎn)化了核心應(yīng)用面臨的安全問題，確保了核心應(yīng)用的安全最大化。傳統(tǒng)的安全檢測(cè)產(chǎn)品只能發(fā)現(xiàn)利用已知安全漏洞發(fā)起的攻擊。如果一種攻擊手法還沒有公布，則憑借現(xiàn)有的技術(shù)無法了解其攻擊特征，也就無法識(shí)別攻擊行為。網(wǎng)閘對(duì)數(shù)據(jù)的交換不依賴于任何通用協(xié)議，沒有數(shù)據(jù)包的處理及連接會(huì)話的建立，而是以靜態(tài)的專有格式化數(shù)據(jù)塊的形式在內(nèi)/外網(wǎng)間傳遞，因此不會(huì)受到任何已知或未知漏洞的威脅。4.5 強(qiáng)大的定制擴(kuò)展能力網(wǎng)閘不但提供標(biāo)準(zhǔn)的信息交流服務(wù)，如

21、文件交換、安全瀏覽、郵件交換、數(shù)據(jù)庫(kù)同步等，還提供二次開發(fā)接口，以滿足眾多專業(yè)應(yīng)用系統(tǒng)的安全數(shù)據(jù)交換需要。還可依據(jù)用戶應(yīng)用系統(tǒng)特征，定制相應(yīng)的協(xié)議檢查模塊，對(duì)行業(yè)專有應(yīng)用協(xié)議及相應(yīng)數(shù)據(jù)格式進(jìn)行定制分析，確保只有符合組織安全策略的數(shù)據(jù)可通過網(wǎng)閘進(jìn)行傳遞，真正實(shí)現(xiàn)按需通過的安全目標(biāo)，提升整體安全水平5 典型應(yīng)用網(wǎng)閘適合部署在需要在不同安全等級(jí)的網(wǎng)絡(luò)間實(shí)現(xiàn)信息共享的環(huán)境，可應(yīng)用在不同的涉密網(wǎng)絡(luò)之間；同一涉密網(wǎng)絡(luò)的不同安全域之間；與互聯(lián)網(wǎng)物理隔離的網(wǎng)絡(luò)和秘密級(jí)涉密網(wǎng)絡(luò)之間；未與涉密網(wǎng)絡(luò)連接的網(wǎng)絡(luò)和互聯(lián)網(wǎng)絡(luò)之間，通過網(wǎng)閘的安全控制，在保證信息安全的前提下更好地促進(jìn)各個(gè)業(yè)務(wù)系統(tǒng)的互聯(lián)互通、資源共享。5.1

22、 數(shù)據(jù)庫(kù)安全同步解決方案某政府部門開展電子政務(wù)，允許公眾通過互聯(lián)網(wǎng)提交服務(wù)申請(qǐng)并查詢結(jié)果。如果允許訪問者通過Web服務(wù)器直接向核心數(shù)據(jù)庫(kù)服務(wù)器發(fā)起數(shù)據(jù)訪問請(qǐng)求，則黑客可能穿透防火墻的保護(hù)直接侵入后臺(tái)數(shù)據(jù)庫(kù)系統(tǒng)，嚴(yán)重威脅到業(yè)務(wù)的正常開展。如上圖所示，采用網(wǎng)閘，在核心數(shù)據(jù)庫(kù)服務(wù)器和外部不可信網(wǎng)絡(luò)間實(shí)現(xiàn)安全隔離，則來自互聯(lián)網(wǎng)的用戶只能通過Web服務(wù)器訪問到前置數(shù)據(jù)庫(kù)服務(wù)器。根據(jù)安全策略定時(shí)將前置數(shù)據(jù)庫(kù)和核心數(shù)據(jù)庫(kù)的內(nèi)容進(jìn)行同步，既可滿足對(duì)外服務(wù)的要求又提供了安全保障。這種方式強(qiáng)化了應(yīng)用層的安全控制，可有效防止TCP/IP數(shù)據(jù)包穿越網(wǎng)絡(luò)到達(dá)核心數(shù)據(jù)庫(kù)服務(wù)器，大大增強(qiáng)了系統(tǒng)的安全性，為電子政務(wù)的有效開展

23、提供了可靠的保證。網(wǎng)閘提供多種數(shù)據(jù)庫(kù)同步方式，可定制同步周期及方向，支持Oracle、Sybase、SQL Server、MySQL、DB2等多種主流數(shù)據(jù)庫(kù)。系統(tǒng)支持基于觸發(fā)器和快照兩種方式的增量數(shù)據(jù)復(fù)制，可實(shí)現(xiàn)異類數(shù)據(jù)庫(kù)間的數(shù)據(jù)同步。系統(tǒng)提供C/C+編程接口，可以方便的與其它系統(tǒng)的集成。5.2 安全郵件收發(fā)解決方案某機(jī)構(gòu)強(qiáng)制要求內(nèi)網(wǎng)禁止與互聯(lián)網(wǎng)相連，但根據(jù)業(yè)務(wù)需要必須通過電子郵件與外界進(jìn)行信息交流。如采用人工方式，即由專人負(fù)責(zé)在公眾信息網(wǎng)接收電子郵件，再通過移動(dòng)存儲(chǔ)介質(zhì)復(fù)制到內(nèi)部網(wǎng)進(jìn)行處理，則信息不能得到及時(shí)處理，嚴(yán)重影響工作效率；若采用內(nèi)外網(wǎng)郵件服務(wù)器轉(zhuǎn)發(fā)的方式，安全又得不到保證。為解決這一問題，在內(nèi)外網(wǎng)間部署網(wǎng)閘。安全隔離與信息交換系統(tǒng)可以保證可信內(nèi)網(wǎng)與Internet安全隔離，內(nèi)外網(wǎng)郵件服務(wù)器間不存在鏈路層連接，沒有數(shù)據(jù)包的交換，因此無法通過郵件系統(tǒng)對(duì)內(nèi)部辦公網(wǎng)發(fā)起攻擊。系統(tǒng)可以為每個(gè)用戶制定各自的郵件交換策略，對(duì)郵件內(nèi)容、附件類型及垃圾郵件、帶病毒郵件等進(jìn)行過濾，從而使內(nèi)網(wǎng)用戶可以在內(nèi)網(wǎng)安全地收發(fā)郵件，保證